Operační systém Android čelí zatím největší bezpečnostní hrozbě za dobu své několikaleté existence. Díru v systému objevil výzkumník Joshua Drake ze společnosti Zimperium zLabs, podle něj stačí jen otevřít MMS zprávu od neznámého čísla, čímž dojde k narušení bezpečnostní celého operačního systému. Pokud by tedy někdo chtěl napadnout váš smartphone s Androidem, stačí mu k tomu jen vaše telefonní číslo.
Samotné jádro problému se nachází v mediální knihovně Stagefrigt (najdete ji cca v 950 milionech Android zařízení po celém světě), která se v Android smatphonech stará mj. i o přehrávání videí z MMS zpráv. Během jejich načítání se může spolunačíst i škodlivý kód, který může útočníkům prakticky otevřít dveře všude tam, kde se o přístupy stará Stagefright, tedy kupříkladu nahrávání zvuků, videí, prohledání souborů na paměťové kartě či vyhledání blízkých Bluetooth zařízení.
Ukázka možného spuštění škodlivého kódu na Nexusu 5 s Androidem 5.1.1
Jak se vyhnout potenciálním problémům? Stačí, když nebude otevírat MMS zprávy od neznámých čísel. To ale platí jen tehdy, pokud pro čtení a psaní zpráv používáte nativní aplikaci k tomu určenou. Pokud však místo Zpráv používáte Google Hangouts, je telefon kompromitován prakticky hned jakmile tato zpráva na telefon dorazí. Videa (se škodlivým kódem) jsou totiž přednačítána dopředu (pokud jste tuto funkci nedeaktivovali), aby se mohla zobrazit v systémové Galerii nebo v informačním pruhu na lockscreenu. Drake dodává, že v tomto případě mají hackeři možnost zprávu okamžitě smazat, aniž byste si ji jakkoliv všimli. Škodlivý kód se může navíc v telefonu dále šířit, protože jsou mu přidělena téměř veškerá systémová oprávnění. Chyba byla prezentována na Samsungu Galaxy S4 a na LG Optimus Prime, bližší detaily má společnost Zimperium zLabs odhalit na konferencích Black Hat USA (5. srpna) a DEF CON 23 (7. srpna).
Opravy jen pro někoho
Klíčovou otázkou pro uživatele Androidu je jistě to, kdy (a zdali vůbec) se dočkají případné opravy. Výše popsanou chybou jsou ovlivněny smartphony s Androidem 2.2 a výše. Nejrizikovější skupinou jsou modely s Androidem před verzí Jelly Bean (což je zhruba 11 procent všech Androidů). Společnost Zimperium oznámila chybu Googlu, který do 48 hodin vydal v rámci interních rozvětvení Android projektu potřebné opravy, než se ale dostanou ke koncovým uživatelům, bude to ještě nějakou dobu trvat.
Vše totiž závisí na tom, kdy opravený zdrojový kód zařadí výrobci do svých softwarových aktualizací. V případě HTC by se tak mělo stát v průběhu června, alternativní verze Androidu, CyanogenMod již opravu také zařadila do své nejnovější aktualizace. Zcela jistě s však oprava nedostane na zařízení se starším Androidem, pro které výrobci již žádné aktualizace neplánují. Pokud se chcete vyhnout možnému narušení bezpečnosti vašeho staršího smartphonu s Androidem, používejte pro čtení a psaní zpráv nativního klienta (nikoliv Hangouts) a MMS zprávy od neznámých čísel rovnou smažte.
Zdroj: Zimperium
